@noob-stupid/dsh-plugin-console 0.5.25 → 0.5.27

package/lib/client.js

@@ -129,6 +129,12 @@ window.__ModuleLoader__.load({
 			actionAllowOk: "已写入放行项",
 			actionAllowFailed: "放行失败（文件未改动）",
 			actionAllowBackup: "备份",
+			// 2026-09-27 加法（0.5.26 修 F2）：预设装配**默认只补不覆盖**；出现同名冲突时多出这一个按钮。
+			// 短句进面板，长解释（含"会先整目录备份"）一律进悬浮 title。
+			actionOverwritePresetLabel: "覆盖该预设",
+			actionOverwritePresetLong: "只有你点它才会覆盖：先按记录的源码出处重新取一次仓库里的预设，把原目录**整份备份**成 <预设名>.bak-<时间戳>，再逐文件覆盖，写完读回核实（字节不一致会如实报告）。默认装配只补缺失文件、绝不覆盖你在用的同名预设。",
+			actionOverwritePresetOk: "已覆盖（原目录已备份）",
+			actionOverwritePresetFailed: "覆盖失败（文件未改动）",
 			safetyMode: "运行模式",
 			safetyModeManaged: "托管：框架升级与回滚由本控制台负责（默认，行为与之前一致）",
 			safetyModeManagedOn: "已切到托管模式：框架升级与回滚仍由本控制台负责",
@@ -663,6 +669,11 @@ window.__ModuleLoader__.load({
 			actionAllowOk: "Approval written",
 			actionAllowFailed: "Approval failed (file untouched)",
 			actionAllowBackup: "Backup",
+			// 2026-09-27 additive (0.5.26 F2): preset assembly is add-only by default; a same-name conflict shows this button.
+			actionOverwritePresetLabel: "Overwrite this preset",
+			actionOverwritePresetLong: "Nothing is overwritten until you click this: it re-fetches the preset from its recorded source repo, copies your whole current directory to <preset>.bak-<timestamp> first, then overwrites file by file and reads every file back to verify (a byte mismatch is reported, never hidden). By default assembly only adds missing files and never touches your same-name presets.",
+			actionOverwritePresetOk: "Overwritten (original backed up)",
+			actionOverwritePresetFailed: "Overwrite failed (files untouched)",
 			safetyMode: "Operating mode",
 			safetyModeManaged: "Managed: this console owns framework upgrade and rollback (default, unchanged behaviour)",
 			safetyModeManagedOn: "Switched to managed: framework upgrade and rollback stay with this console",
@@ -5240,17 +5251,22 @@ setMessage(t("failed") + "：" + (data?.reason ?? "未知"));
 			// 只在**执行结果**说明"pnpm 因构建脚本未获批准而报错"时才出现（服务端下发 state.nextAction）；
 			// 平时一个像素都不多占。
 			const [allow, setAllow] = react.useState({ phase: "idle", text: null, level: null, title: null });
+			// 2026-09-27 加法（0.5.26 修 F2）：第三个显式动作的状态（「覆盖该预设」）。
+			// 只在服务端下发的 suggestedAction.kind === "overwrite-preset" 时出现（默认装配只补不覆盖）。
+			const [overwrite, setOverwrite] = react.useState({ phase: "idle", text: null, level: null, title: null });
 			const action = job === null || job === undefined ? null : (job.suggestedAction ?? null);
 			if (action === null || typeof action.command !== "string" || state.closed === true) return null;
 			const running = state.phase === "running";
 			const label = action.kind === "pin-dependency" ? t("actionPinLabel")
 				: action.kind === "reconcile-lock" ? t("actionReconcileLabel")
 					: action.kind === "allow-builds" ? t("actionAllowLabel")
-						: (typeof action.label === "string" && action.label !== "" ? action.label : String(action.kind ?? ""));
+						: action.kind === "overwrite-preset" ? t("actionOverwritePresetLabel")
+							: (typeof action.label === "string" && action.label !== "" ? action.label : String(action.kind ?? ""));
 			const allowAction = state.nextAction !== null && state.nextAction !== undefined && typeof state.nextAction === "object"
 				? state.nextAction
 				: (action.kind === "allow-builds" ? action : null);
 			const allowRunning = allow.phase === "running";
+			const overwriteRunning = overwrite.phase === "running";
 			const showAllow = allowAction !== null && typeof allowAction.command === "string" && allow.phase !== "done";
 			const run = () => {
 				if (running || action.payload === null || typeof action.payload !== "object") return;
@@ -5301,6 +5317,27 @@ setMessage(t("failed") + "：" + (data?.reason ?? "未知"));
 					(error) => setAllow({ phase: "error", text: (error !== null && typeof error.message === "string" && error.message !== "" ? error.message : t("actionAllowFailed")), level: "error", title: null }),
 				);
 			};
+			// 「覆盖该预设」：同样是**结构化动作**（只发 action.payload），服务端自己重新取源码 + 备份 + 覆盖 + 读回核实；
+			// 面板绝不拼命令、也绝不碰 .agent-presets。
+			const runOverwrite = () => {
+				if (overwriteRunning || action.payload === null || typeof action.payload !== "object") return;
+				setOverwrite({ phase: "running", text: t("actionRunning"), level: null, title: null });
+				callAction(action.payload).then(
+					(done) => {
+						const verdict = done?.ok === true ? t("actionOverwritePresetOk") : t("actionOverwritePresetFailed");
+						const parts = [verdict, typeof done?.reason === "string" ? done.reason : null, Array.isArray(done?.notes) && done.notes.length > 0 ? done.notes[0] : null].filter((s) => typeof s === "string" && s !== "");
+						setOverwrite({
+							phase: done?.ok === true ? "done" : "error",
+							text: parts.join(" · "),
+							level: done?.ok === true ? null : "warn",
+							title: [done?.file,
+								Array.isArray(done?.overwritten) && done.overwritten.length > 0 ? t("actionOverwritePresetLabel") + "：" + done.overwritten.join("、") : null,
+								typeof done?.backup === "string" ? t("actionAllowBackup") + "：" + done.backup : null].filter((s) => typeof s === "string" && s !== "").join("\n") || null,
+						});
+					},
+					(error) => setOverwrite({ phase: "error", text: (error !== null && typeof error.message === "string" && error.message !== "" ? error.message : t("actionOverwritePresetFailed")), level: "error", title: null }),
+				);
+			};
 			return el("div", { className: styles.detail, "data-suggested-action": String(action.kind ?? "") },
 				el("div", { className: styles.rowTop },
 					el("span", { className: styles.phase }, t("actionBoxTitle")),
@@ -5321,6 +5358,12 @@ setMessage(t("failed") + "：" + (data?.reason ?? "未知"));
 					showAllow
 						? el("button", { type: "button", className: styles.toggle, "data-allow-builds": "true", title: t("actionAllowLong"), disabled: allowRunning, onClick: runAllow }, allowRunning ? t("actionRunning") : t("actionAllowLabel"))
 						: null,
+					// ★ 0.5.26 加法（修 F2）：预设装配**默认只补不覆盖**，出现同名冲突时多出这一个按钮。
+					// 与上面同一个模式：只发结构化 payload（服务端自己重新取源码 + 备份 + 覆盖 + 读回核实），
+					// 面板绝不拼命令、也绝不写 .agent-presets。
+					action.kind === "overwrite-preset" && overwrite.phase !== "done"
+						? el("button", { type: "button", className: styles.toggle, "data-overwrite-preset": String(action.payload?.presetName ?? ""), title: t("actionOverwritePresetLong"), disabled: overwriteRunning, onClick: runOverwrite }, overwriteRunning ? t("actionRunning") : t("actionOverwritePresetLabel"))
+						: null,
 					el("span", {
 						className: styles.message,
 						"data-warn": state.level === "warn" ? "true" : undefined,
@@ -5333,7 +5376,14 @@ setMessage(t("failed") + "：" + (data?.reason ?? "未知"));
 						"data-warn": allow.level === "warn" ? "true" : undefined,
 						"data-error": allow.level === "error" ? "true" : undefined,
 						title: allow.title === null ? undefined : allow.title,
-					}, allow.text)));
+					}, allow.text)),
+				overwrite.text === null ? null : el("div", { className: styles.rowTop },
+					el("span", {
+						className: styles.message,
+						"data-warn": overwrite.level === "warn" ? "true" : undefined,
+						"data-error": overwrite.level === "error" ? "true" : undefined,
+						title: overwrite.title === null ? undefined : overwrite.title,
+					}, overwrite.text)));
 		}
 		
 		function PluginSafetyTab({ t }) {

package/lib/server/domain/bundle-refs.js

@@ -0,0 +1,41 @@
+// L1 · domain —— bundle-refs.js（读**已装聚合包**的 bundle patch 引用清单）
+//
+// 为什么单开一个模块（0.5.26）：install.js 贴着 600 行架构硬顶（test-architecture-guard.mjs），
+// 而"从 node_modules/<pkg>/cordis.patch.yml 里读出 insert 行引用了哪些包名"是一块自洽的只读逻辑，
+// 装前校验（install-job 的注册前防线）与装后完整性保障都要用。抽出**只搬移未改逻辑**。
+//
+// 背景事故（2026-09-06）：装 dsh-desktop 类插件时其 bundle patch 引用了 `@deepseek-ai/dsh-root`
+// 等框架级行，那些包不在 profile node_modules → 注册后整服务启动崩溃。
+// 注册前先按本模块读出的引用逐个 `resolvePackageJson` 核实，缺失即拒绝注册。
+
+import { existsSync, readFileSync } from 'node:fs'
+import { join } from 'node:path'
+
+/** 读取聚合包 `cordis.patch.yml` 的 insert 行 name 列表（注册前校验用）。
+ *  解析形状与 install.js#ensureBundlePatchIntegrity 同构：`- insert:` 块下的
+ *  `- id: xxx` + 下一行 `      name: '包名'`。读不到（没装 / 没声明 dsh.bundle.patch / 文件缺失）
+ *  一律返回 `[]` —— 调用方据此判定"没有可核实的引用"，而不是把它当成错误。 */
+function readBundlePatchRefNames(profileDir, pkgName) {
+  try {
+    const pkgJsonPath = join(profileDir, 'node_modules', pkgName, 'package.json')
+    if (!existsSync(pkgJsonPath)) return []
+    const pkg = JSON.parse(readFileSync(pkgJsonPath, 'utf8'))
+    const patchRel = pkg.dsh?.bundle?.patch
+    if (typeof patchRel !== 'string') return []
+    const text = readFileSync(join(profileDir, 'node_modules', pkgName, patchRel), 'utf8')
+    const names = []
+    const lines = text.split(/\r?\n/u)
+    let inInsert = false
+    for (let i = 0; i < lines.length; i += 1) {
+      const line = lines[i]
+      if (/^- insert:\s*$/u.test(line)) { inInsert = true; continue }
+      if (/^- /u.test(line) && !/^ {4}- /u.test(line)) inInsert = false
+      if (!inInsert) continue
+      const nameM = (lines[i + 1] ?? '').match(/^ {6}name: ['"]([^'"]+)['"]\s*$/u)
+      if (nameM) names.push(nameM[1])
+    }
+    return names
+  } catch { return [] }
+}
+
+export { readBundlePatchRefNames }

package/lib/server/domain/install-job.js

@@ -10,11 +10,13 @@ import { maybeAutoAdaptCompat } from './compat.js'
 import { getReposDir } from './repoland.js'
 import { aiConsentFailureText, cleanupAttemptedCandidates } from './install-cleanup.js'
 import { GIT_CHANNEL_BUDGET_MS, GIT_MIN_ATTEMPT_MS, GIT_SPEC_TIMEOUT_MS, gitChannelBudgetMs, noteChannel, formatBudgetMs, tryGitChannel } from './git-channel.js'
-import { DEFAULT_BUNDLES, AI_CONSENT_TIMEOUT_MS, PNPM_INSTALL_TIMEOUT_MS, addBundleToManifest, backfillMissingDeps, curlManualInstall, detectBundleOnly, ensureBundlePatchIntegrity, githubReleaseInstall, pnpmInstall, raceInstallChannels, readBundlePatchRefNames, readGithubAuth, syncAggregateSubpackageVersions } from './install.js'
+import { DEFAULT_BUNDLES, AI_CONSENT_TIMEOUT_MS, PNPM_INSTALL_TIMEOUT_MS, addBundleToManifest, backfillMissingDeps, curlManualInstall, detectBundleOnly, ensureBundlePatchIntegrity, githubReleaseInstall, pnpmInstall, raceInstallChannels, readGithubAuth, syncAggregateSubpackageVersions } from './install.js'
+import { readBundlePatchRefNames } from './bundle-refs.js' // 0.5.26 搬家：install.js 贴着 600 行硬顶
 import { classifyInstallFailure, retryPnpmOnce } from './install-diagnose.js'
 import { jobLog } from './jobs.js'
 import { gatePrivateRoot } from './repo-size.js'
 import { tryPresetSourceChannel } from './preset-source.js'
+import { settlePresetOutcome } from './preset-in-package.js'
 import { alreadyInstalledTarget, verifyInstalledEntry } from './install-verify.js'
 import { applyNpmNameHint, expandSubpackageCandidates, fetchRepoPackage, fetchRepoPackageEx, fetchSubpackageNames, npmNameHintForRepo, packageProbeErrorText, subpackageCandidates } from './market.js'
 import { declareProfileDependency } from './manifest.js'
@@ -339,11 +341,14 @@ async function runInstallJob(job, ports, deps = {}) {
       const rootPkg = await probes.fetchRepoPackage(job.repo, 'main')
       if (rootPkg !== null && rootPkg.private === true) {
         subpackageMode = true
-        // 上游分支同一道判据（批次 D-①）：按仓库体积决定源码通道能不能走
-        await gatePrivateRoot(job, noteChannel, sourceDeps)
+        await gatePrivateRoot(job, noteChannel, sourceDeps) // 批次 D-①：按仓库体积决定源码通道
         const subs = await probes.subpackageCandidates(job.repo, 'main', readGithubAuth().token)
         if (subs.length > 0) {
-          candidates = [...subs.filter((name) => !candidates.includes(name)), ...candidates]
+          // ★ D-⑤（真机验证发现的**第二个根因**）：用户**明确点的那一件**必须排最前 —— 卡片子包列表每件的
+          // 按钮发 `{repo, packageName}`；旧代码把自动展开的子包统统排在它前面，第一件装成（或`已装在本地`
+          // 命中）就 break：**点第三件装的却是第一件**。只有"没给包名"时才该聚合包优先（那条路不经过这里）。
+          const requested = candidates.filter((n) => typeof n === 'string' && n !== '')
+          candidates = [...requested, ...subs.filter((name) => !requested.includes(name))]
           job.subpackages = subs
         }
       }
@@ -405,10 +410,9 @@ async function runInstallJob(job, ports, deps = {}) {
       lastError = attempt.lastError
       if (installedName !== null) break
     }
-    // 预设型子包走的是"取源码 → 装配到 ~/.dsh/.agent-presets"：**没有 node_modules 包、也不该写补丁行/
-    // 声明依赖**（否则补丁行指向不存在的模块 → 启动崩溃，2026-09-06 事故同族）。candidateDone/packageName
-    // 与普通成功安装对齐，面板显示的才是真正装上的那一件。
-    if (job.presetDone === true) { job.status = 'done'; job.stage = 'done'; job.candidateDone = true; job.packageName = job.candidateName ?? job.packageName; return }
+    // 预设收口（D-③ 源码装配成功 / D-⑥ 落地物里带预设）：能按预设收口就直接 return —— 见 preset-in-package.js
+    // （这两条路都**没有 node_modules 插件**，写补丁行/声明依赖会让补丁行指向无入口模块 → 启动崩溃）。
+    if (await settlePresetOutcome({ job, installedName, profileDir, repo: job.repo, deps: sourceDeps }) === true) return
     if (installedName === null) {
       if (job.diagnosis == null) job.diagnosis = classifyInstallFailure(lastError?.message) // 分类提示兜底（加法）
       // 本地 AI 兜底会调用模型 API、产生费用：挂起等待用户明确同意后再执行

package/lib/server/domain/install.js

@@ -14,6 +14,8 @@ import { fetchJsonUrl } from '../infra/http.js'
 import { dshHome, resolvePackageJson } from '../infra/paths.js'
 import { downloadReleaseArtifact, releaseInstallTarget, selectReleaseInstall } from './release-source.js'
 import { verifyTarballDigest } from './install-verify.js'
+import { presetJobView } from './preset-install.js'
+import { readBundlePatchRefNames } from './bundle-refs.js'
 
 /** bundle 包判定：声明 dsh.bundle 的包一律按官方 `dsh plugin add` 行为追加为
  * profile bundle 层（其 cordis.patch.yml 的插入行在下次启动时组合进树）。
@@ -418,30 +420,9 @@ async function githubReleaseInstall(profileDir, repo, packageName, options = {})
  * （cordis.patch.yml）引用的包未安装 → 服务加载崩溃。
  * 读已装包的 bundle patch → 检查每个 insert 引用的包是否存在 → 缺失补装（pnpm/curl）→
  * 仍缺则在用户 patch 层自动禁用该行（防崩兜底）+ 返回报告供面板提示。
+ * 注：`readBundlePatchRefNames`（读 insert 引用清单）0.5.26 搬进 domain/bundle-refs.js ——
+ * 本文件贴着 600 行架构硬顶，而那块是自洽的只读逻辑；这里 re-export 保持接口不变。
  */
-/** 读取聚合包 cordis.patch.yml 的 insert 行 name 列表（注册前校验用）。 */
-function readBundlePatchRefNames(profileDir, pkgName) {
-  try {
-    const pkgJsonPath = join(profileDir, 'node_modules', pkgName, 'package.json')
-    if (!existsSync(pkgJsonPath)) return []
-    const pkg = JSON.parse(readFileSync(pkgJsonPath, 'utf8'))
-    const patchRel = pkg.dsh?.bundle?.patch
-    if (typeof patchRel !== 'string') return []
-    const text = readFileSync(join(profileDir, 'node_modules', pkgName, patchRel), 'utf8')
-    const names = []
-    const lines = text.split(/\r?\n/u)
-    let inInsert = false
-    for (let i = 0; i < lines.length; i += 1) {
-      const line = lines[i]
-      if (/^- insert:\s*$/u.test(line)) { inInsert = true; continue }
-      if (/^- /u.test(line) && !/^ {4}- /u.test(line)) inInsert = false
-      if (!inInsert) continue
-      const nameM = (lines[i + 1] ?? '').match(/^ {6}name: ['"]([^'"]+)['"]\s*$/u)
-      if (nameM) names.push(nameM[1])
-    }
-    return names
-  } catch { return [] }
-}
 
 async function ensureBundlePatchIntegrity(profileDir, pkgName, userPatchPath, transientAllow = []) {
   const report = { checked: 0, installed: [], disabled: [], missing: [], pending: [] }
@@ -544,8 +525,11 @@ function installJobView(job) {
     skillDir: job.skillDir ?? null,
     skillNote: job.skillNote ?? null,
     suiteReport: job.suiteReport ?? null,
-    // 预设装配结果（2026-09-27 批次 D-③ 加法）：落盘路径 + "新建会话时选择" + 每个预设的合并/备份明细
-    suiteNote: job.suiteNote ?? null, presetNote: job.presetNote ?? null, presetInstalled: job.presetInstalled ?? null, presetSource: job.presetSource ?? null, repoSize: job.repoSize ?? null,
+    // 预设装配结果（2026-09-27 批次 D-③ 加法；0.5.26 起"预设那几项"整簇搬进
+    // preset-install.js#presetJobView —— 本文件贴着 600 行架构硬顶，且"预设通道要下发什么"
+    // 本来就该跟它的产出者放在一起）。套装备注与仓库体积仍是本文件的老字段，照旧在这里下发。
+    suiteNote: job.suiteNote ?? null, repoSize: job.repoSize ?? null,
+    ...presetJobView(job),
     hint: job.hint ?? null,
     // 子包级/套装级进度（2026-09-20 真装实测缺口：11 个子包的聚合仓库跑了 19 分钟，面板只显示
     // "安装中"，用户不知道在装第几个、还剩几个）。子包通道来自 install-job.js 候选循环维护的

package/lib/server/domain/plugin-actions.js

@@ -17,6 +17,10 @@
 //     **补上具体包名**的构建放行项（domain/allow-builds.js：改前备份 + 写后读回核实 + 只动那几行）。
 //     它**不跑任何命令**，更不下载/执行脚本 —— 只影响"pnpm 下次安装是否还会因未批准而报错"。
 //     只有用户自己点「允许这些构建脚本」才会走到这里（绝不自动放行）。
+//   · overwrite-preset（0.5.26 加法，修 F2 的"出路"）：预设装配**默认只补不覆盖**，
+//     用户在面板上点「覆盖该预设」才走到这里 —— 按记录的源码出处**重新取一次源码**，
+//     先整目录备份、再覆盖、写后读回核实（domain/preset-source.js#overwritePreset）。
+//     它同样**不接受任何命令字符串**，也不跑 pnpm：只取源码 + 写 `.agent-presets/<name>`。
 //
 // 等待预算（2026-09-27 真机实测后的改错）：放行之后**第一次**安装会真的执行那些脚本
 // （cloudflared 下二进制、cpu-features/ssh2 走 node-gyp 原生编译；本机实测 18m59.6s 才结束，exitCode=0）。
@@ -38,11 +42,12 @@ import { classifyInstallFailure, ignoredBuildsFrom } from './install-diagnose.js
 import { runLockfileRepair } from './lockfile-health.js'
 import { pinProfileDependency, specOf } from './manifest.js'
 import { lockVersion } from './selfupdate.js'
+import { overwritePreset } from './preset-source.js'
 import { buildPnpmEnv, pnpmAddArgs, runPnpmWithFallback, unknownPnpmOption } from '../infra/exec.js'
 
 const DEFAULT_REGISTRY = 'https://registry.npmmirror.com'
 /** 动作白名单（客户端只能给这些 kind；执行分支与 argv 全在服务端）。 */
-const ACTION_KINDS = ['pin-dependency', 'reconcile-lock', 'allow-builds']
+const ACTION_KINDS = ['pin-dependency', 'reconcile-lock', 'allow-builds', 'overwrite-preset']
 /** 一旦出现这些键就整条拒绝：本接口不存在"传命令"的位置。 */
 const COMMAND_KEYS = ['command', 'cmd', 'argv', 'args', 'exec', 'execute', 'shell', 'script', 'run', 'spawn', 'bin', 'shellCommand']
 const OUTPUT_LIMIT = 4000
@@ -75,9 +80,18 @@ function parseActionRequest(body) {
   if (action === 'allow-builds' && packageName !== '' && (packageName.length > 214 || !NPM_NAME_RE.test(packageName))) {
     return { ok: false, status: 400, error: 'packageName 不是合法的 npm 包名' }
   }
+  // overwrite-preset 用 presetName（**预设目录名**，不是 npm 包名）：必须是非空、无路径分隔符的短名字。
+  // 这里只做**形状**校验；"这个预设到底存不存在 / 是不是本控制台装的"由执行体自己读盘判定（客户端说了不算）。
+  const rawPreset = typeof raw.presetName === 'string' ? raw.presetName.trim() : ''
+  if (action === 'overwrite-preset') {
+    if (rawPreset === '') return { ok: false, status: 400, error: 'overwrite-preset 需要 presetName' }
+    if (rawPreset.length > 120 || rawPreset === '.' || rawPreset === '..' || /[\\/]/u.test(rawPreset) || /[\u0000-\u001f]/u.test(rawPreset)) {
+      return { ok: false, status: 400, error: 'presetName 不是合法的预设目录名（不得含路径分隔符或控制字符）' }
+    }
+  }
   const version = typeof raw.version === 'string' && raw.version.length <= 120 ? raw.version : null
   const profile = typeof raw.profile === 'string' && raw.profile.length <= 64 ? raw.profile : null
-  return { ok: true, error: null, status: 200, action, packageName: packageName === '' ? null : packageName, version, profile }
+  return { ok: true, error: null, status: 200, action, packageName: packageName === '' ? null : packageName, version, profile, presetName: rawPreset === '' ? null : rawPreset }
 }
 
 /** 该包是否属于当前 profile（已声明在 dependencies / devDependencies / optionalDependencies 或
@@ -206,6 +220,38 @@ async function runSuggestedAction({ body, profileDir, registries = [], deps = {}
       detail: applied,
     }
   }
+  if (parsed.action === 'overwrite-preset') {
+    // ★ 0.5.26 加法（修 F2 的"出路"那一半）：预设装配**默认只补不覆盖**，覆盖必须由用户显式点这个动作。
+    // 执行体在 domain/preset-source.js#overwritePreset：按记录**重新取一次源码** → 先整目录备份 →
+    // 覆盖 → 写后读回核实。本动作**不认识任何命令字符串**（COMMAND_KEYS 已在最前面拦掉），
+    // 也不跑 pnpm —— 只做"取源码 + 写 `.agent-presets/<name>`"这一件事。
+    const overwrite = typeof deps.overwritePreset === 'function' ? deps.overwritePreset : overwritePreset
+    let applied = null
+    try {
+      applied = await overwrite({ presetName: parsed.presetName, deps: deps.overwriteDeps ?? {} })
+    } catch (error) {
+      return { ...base, ok: false, status: 200, error: `覆盖预设失败：${error instanceof Error ? error.message : String(error)}` }
+    }
+    return {
+      ...base,
+      ok: applied?.ok === true,
+      status: applied?.status ?? 200,
+      exitCode: applied?.ok === true ? 0 : 1,
+      // 展示/复制的命令 = 本控制台自己的等价入口（**本动作不执行任何命令行**；服务端只取源码 + 写文件）
+      command: `dsh-plugin-console: overwrite-preset ${parsed.presetName}`,
+      presetName: parsed.presetName,
+      changed: (applied?.overwritten?.length ?? 0) + (applied?.added?.length ?? 0) > 0,
+      added: Array.isArray(applied?.added) ? applied.added : [],
+      overwritten: Array.isArray(applied?.overwritten) ? applied.overwritten : [],
+      backup: applied?.backup ?? null,
+      verified: applied?.verified ?? null,
+      file: applied?.dest ?? null,
+      notes: [applied?.note].filter((n) => typeof n === 'string' && n !== ''),
+      reason: applied?.ok === true ? applied.reason : (applied?.error ?? '覆盖失败（文件未改动）'),
+      error: applied?.ok === true ? undefined : (applied?.error ?? null),
+      detail: applied,
+    }
+  }
   if (parsed.action === 'reconcile-lock') {
     const view = await repair({ profileDir, registries: Array.isArray(registries) && registries.length > 0 ? registries : [registry] })
     const done = view?.action === 'repaired' || view?.action === 'noop'

package/lib/server/domain/preset-in-package.js

@@ -0,0 +1,148 @@
+// L1 · domain —— preset-in-package.js（批次 D-⑥：**预设随包分发** —— 装出来的包体里带 agent.cordis.yml 时按预设装配）
+//
+// 真机事故（2026-09-27，官方桌面端实例、0.5.25 实测，卡片"子包"列表第三件的等价调用）：
+//   POST /install {repo:'yjh051108/dsh-routing-suite', packageName:'dsh-router-standard'}
+//   → release 通道按包名反查到**它自己的仓库** yjh051108/dsh-router-standard 的 release v0.3.0 资产
+//     （dsh-router-standard-0.3.0.tgz）→ 装成 node_modules/dsh-router-standard@0.3.0。
+//   而那个包体里**没有 main/exports、也没有 dsh.bundle**，只有 `preset/`（三个预设目录）+ docs/。
+//   于是出现两个后果（都在用户的验收点上）：
+//     ① 预设**一个字节都没进** `~/.dsh/.agent-presets` → 用户依然用不上（预设才是他要的东西）；
+//     ② 却照样 `appendInsert` 了一行 `- insert: {id: dsh-router-standard}` → 注册一个**加载不了的模块行**
+//        （2026-09-06「装 dsh-desktop 后服务崩」事故同族：补丁行指向的模块没有入口）。
+//   根因是判据只按**仓库**（有没有 .gitmodules / 是不是预设型子包名）分类，没按**落地物**分类：
+//   预设可以随包分发（registry tarball / release 资产 / git 规格三条路都会发生），
+//   而"包里带 agent.cordis.yml"是**装完之后一定能看到**的事实。
+//
+// 本模块补上缺的那一步：**任何通道装成功之后、写补丁行/声明依赖之前**，先看落地物里有没有预设；
+// 有 → 走 preset-install.js#assemblePreset（**复用**既有装配：只补不覆盖 / 校验 / 备份 / 读回核实），
+// 并按 `presetDone` 收口 —— **绝不写补丁行、绝不声明依赖**（预设不是 npm 插件）。
+//
+// 与 preset-source.js#tryPresetSourceChannel 的分工：那条通道是"按包名的通道都失败后，从仓库源码取"；
+// 本模块是"包已经装下来了，落地物里带预设"。两条路共用同一份装配实现与同一份"预设目录"判据。
+
+import { existsSync } from 'node:fs'
+import { basename, join } from 'node:path'
+import { findPresetDirs, isPresetDir } from './preset-source.js'
+import { assemblePreset, recordPresetSource, suggestedOverwritePresetAction } from './preset-install.js'
+import { noteChannel } from './git-channel.js'
+import { dshHome } from '../infra/paths.js'
+
+/** 扫一个已装包的目录树找预设（深度 ≤2，与套装路径 / 候选源码路径**同一份判据**）。
+ * 返回预设目录绝对路径数组（有序、去重）；包里没有预设时返回空数组。 */
+function findCarriedPresets(packageDir, maxDepth = 2) {
+  if (typeof packageDir !== 'string' || packageDir === '' || !existsSync(packageDir)) return []
+  const found = findPresetDirs(packageDir, maxDepth)
+  // 兜底：包根自己就是预设（有的作者把 agent.cordis.yml 直接放在包根）
+  if (found.length === 0 && isPresetDir(packageDir)) found.push(packageDir)
+  return [...new Set(found)]
+}
+
+/** 已装包的目录（支持 scoped 包名）。找不到返回 null。 */
+function installedPackageDir(profileDir, name) {
+  const dir = join(profileDir, 'node_modules', ...String(name ?? '').split('/'))
+  return existsSync(dir) ? dir : null
+}
+
+/**
+ * 「落地物里带预设」的唯一入口（install-job 在装成功后、appendInsert/declareProfileDependency 之前调用）。
+ * 返回 { handled, installed, presets, note, error }：
+ *   · handled=false → 这个包里没有预设，调用方照旧按普通插件收口（行为一个字不变）；
+ *   · installed=true → 已按预设装配并**由本函数把 job 收口**（status/stage/presetDone/presetNote…），
+ *     调用方必须直接 return，**不要**再写补丁行/声明依赖。
+ * 副作用与既有预设通道一致：`job.presetInstalled / job.presetSource / job.presetNote / channelNotes`，
+ * 并调用 recordPresetSource 记下来源（这样面板上的「覆盖该预设」能按记录重新取源码）。
+ */
+async function installPresetsCarriedByPackage({ job, name, profileDir, repo = null, deps = {} } = {}) {
+  const packageName = String(name ?? '').trim()
+  if (packageName === '' || profileDir === null || profileDir === undefined) return { handled: false, installed: false, error: null }
+  const packageDir = deps.packageDir ?? installedPackageDir(profileDir, packageName)
+  if (packageDir === null) return { handled: false, installed: false, error: null }
+  const presets = findCarriedPresets(packageDir, Number.isFinite(deps.maxDepth) ? deps.maxDepth : 2)
+  if (presets.length === 0) return { handled: false, installed: false, error: null }
+
+  const presetsRoot = deps.presetsRoot ?? join(dshHome(), '.agent-presets')
+  noteChannel(job, `装出来的包 ${packageName} 里带着预设（${presets.map((p) => basename(p)).join('、')}）：按预设装配，不注册为插件（它没有插件入口）`)
+  const limit = Number.isFinite(deps.limit) ? deps.limit : 8
+  const reports = []
+  for (const p of presets.slice(0, limit)) {
+    // eslint-disable-next-line no-await-in-loop
+    const report = assemblePreset(p, basename(p), {
+      presetsRoot,
+      overwrite: deps.overwrite === true, // 默认**只补不覆盖**（与 0.5.26 的语义一致）
+      ...(deps.now === undefined ? {} : { now: deps.now }),
+    })
+    reports.push({ ...report, srcDir: p })
+  }
+  const okReports = reports.filter((r) => r.ok === true)
+  const failed = reports.filter((r) => r.ok !== true)
+  // 同名冲突（默认只补不覆盖时的正常结局）：某个预设的现有文件被跳过
+  const conflicted = okReports.filter((r) => (r.skipped?.length ?? 0) > 0).map((r) => r.name)
+  const summary = reports.map((r) => ({
+    name: r.name, dest: r.dest ?? null, ok: r.ok === true, error: r.error ?? null,
+    added: r.added?.length ?? 0, skipped: r.skipped?.length ?? 0, overwritten: r.overwritten?.length ?? 0,
+    identical: r.identical?.length ?? 0, backup: r.backup ?? null, bytes: r.bytes ?? 0,
+    marker: r.ok === true ? 'agent.cordis.yml' : null, carriedBy: packageName,
+  }))
+  if (job !== null && job !== undefined) {
+    job.presetInstalled = summary
+    job.presetSource = { repo, packageName, mode: 'in-package', root: packageDir, presets: reports.map((r) => r.name) }
+    // 同名冲突（只补不覆盖时的正常结局）→ 面板给**显式**的「覆盖该预设」动作（复用既有动作构造器）
+    if (conflicted.length > 0) {
+      job.presetOverwriteCandidates = conflicted
+      job.suggestedAction = suggestedOverwritePresetAction({
+        presetName: conflicted[0],
+        repo,
+        reason: `已存在同名预设 ${conflicted.join('、')}：默认只补不覆盖（现有文件一个字节都没动）。要用仓库版本覆盖请点这个动作`,
+      })
+    }
+    job.presetNote = `预设已装配：${okReports.map((r) => r.name).join('、') || '（无）'}`
+      + `（落盘 ${presetsRoot}；**新建会话时选择**）`
+      + `；来源：包 ${packageName} 自带的预设目录（该包没有插件入口，已按预设装配、未注册为插件）`
+      + (conflicted.length > 0 ? `；同名预设 ${conflicted.join('、')} 默认只补不覆盖（缺的文件已补、现有文件未改动），如需覆盖请点「覆盖该预设」` : '')
+      + (failed.length > 0 ? `；${failed.length} 个预设未装配：${failed.map((r) => `${r.name}（${r.error}）`).join('、')}` : '')
+    job.presetDone = okReports.length > 0
+    if (okReports.length > 0) {
+      job.status = 'done'
+      job.stage = 'done'
+      job.candidateDone = true
+      job.packageName = packageName
+    }
+  }
+  // 记下来源（面板的「覆盖该预设」要按记录重新取源码）：repo 为空时记 null，动作侧会如实告知"没有源码出处"
+  try {
+    recordPresetSource(
+      okReports.map((r) => ({ name: r.name, repo, candidateName: packageName, subdir: null, sparse: false, dest: r.dest })),
+      deps.now === undefined ? {} : { now: deps.now },
+    )
+  } catch {}
+  if (okReports.length === 0) {
+    return { handled: true, installed: false, presets: summary, error: new Error(`包 ${packageName} 自带预设，但装配全部失败：${failed.map((r) => `${r.name}（${r.error}）`).join('、')}`) }
+  }
+  return {
+    handled: true,
+    installed: true,
+    presets: summary,
+    conflicted,
+    note: job?.presetNote ?? null,
+    error: failed.length > 0 ? new Error(`${failed.length} 个预设未装配：${failed.map((r) => `${r.name}（${r.error}）`).join('、')}`) : null,
+  }
+}
+
+/** 装成功后（或预设源码通道成功后）的**唯一收口**（install-job 只调这一行，它贴着 600 行架构硬顶）：
+ *   · `job.presetDone`（源码通道已装配好）→ 把 job 收口并返回 true；
+ *   · 落地物里带预设 → 走 installPresetsCarriedByPackage 装配，成功则收口并返回 true；
+ *   · 其余 → 返回 false（调用方照旧按普通插件收口，行为一个字不变）。 */
+async function settlePresetOutcome({ job, installedName, profileDir, repo = null, deps = {} } = {}) {
+  if (job !== null && job !== undefined && job.presetDone === true) {
+    job.status = 'done'
+    job.stage = 'done'
+    job.candidateDone = true
+    job.packageName = job.candidateName ?? job.packageName
+    return true
+  }
+  if (typeof installedName !== 'string' || installedName === '') return false
+  const carried = await installPresetsCarriedByPackage({ job, name: installedName, profileDir, repo, deps })
+  return carried.installed === true
+}
+
+export { findCarriedPresets, installedPackageDir, installPresetsCarriedByPackage, settlePresetOutcome }